Le 11 septembre 2026, l'article 14 du Cyber Resilience Act est entré en application. Il ne porte que sur les obligations de déclaration, le reste du texte suivra le 11 décembre 2027. Mais cette première marche change déjà l'organisation des éditeurs et des fabricants.
Trois délais, une plateforme unique
Une vulnérabilité activement exploitée dans un produit doit faire l'objet d'une alerte initiale sous 24 heures, adressée à l'ENISA et au CSIRT national via une plateforme unique. En France, c'est le CERT-FR. Un rapport détaillé suit sous 72 heures. Le rapport final tombe 14 jours après la mise à disposition du correctif.
Jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial en cas de manquement.
Un périmètre plus large qu'on ne le croit
Le CRA vise tous les produits comportant des éléments numériques mis sur le marché européen. Objets connectés, équipements réseau, composants, logiciels. Les produits commercialisés avant décembre 2027 ne sont pas exclus des obligations de déclaration, et importateurs comme distributeurs doivent vérifier ce qu'ils vendent.
Le texte repose sur la sécurité dès la conception, avec une responsabilité qui court pendant toute la période de support fixée par le fabricant. Autoévaluation pour les produits standards, tiers obligatoire pour les produits importants de classe II, certification européenne possible pour les produits critiques.
Gestion des vulnérabilités : un processus pour plusieurs régimes
La difficulté pratique tient au cumul. Une même faille peut déclencher en parallèle une notification CRA, une notification NIS2 et une notification RGPD, avec des délais et des destinataires différents. Les gérer séparément, c'est la garantie d'en rater une.
Le chantier prioritaire est donc un processus interne unique de qualification, qui détermine dès la détection quels régimes s'appliquent. Il suppose une gestion des vulnérabilités outillée, une veille sur les composants tiers, et une personne désignée pour décider, y compris la nuit et le week-end. 24 heures, c'est court.
